铜掌柜系统存漏洞 60万用户信息遭泄露

evilatman

　　对于互联网用户而言，网络安全至关重要。而随着越来越多人通过线上进行投资理财，更是将网络安全推到了高潮。在补天漏洞响应平台上，浙江一家互联网金融平台——铜掌柜被爆出存在系统安全问题，导致平台60万用户大量敏感信息泄露。

　　针对此事，《中国经营报》记者随后多次致电铜掌柜市场部和媒体公关部，却一直未有人接通。在致电客服后，对方表示，记者所发送的采访邮件已经转至相关部门。不过，截至发稿前，记者仍未收到公司的相关回复前。此外，记者发现平台标的信息披露过少，而资金托管机构也未明确。

　　被定性高危漏洞

　　根据补天漏洞响应平台披露的信息显示，铜掌柜漏洞打包泄漏60万用户的姓名、手机、银行卡和密码。该漏洞提交于12月1日，被定性为事件型漏洞，官方评级高危，目前仍处于通知厂商中。

　　据悉，补天漏洞响应平台对漏洞的定义分为通用漏洞与事件漏洞两种。其中，事件漏洞(即非通用型漏洞)，主要是指互联网上应用的一个具体漏洞，例如，某网站命令执行可被渗透、某电商订单泄露任意充值、某网站应用SQL注入可导致信息泄露等等。

　　12月14日，国家互联网应急中心也对该漏洞进行了回复：“CNVD(即国家信息安全漏洞共享平台)确认所述情况，已由CNVD通过网站管理方公开联系渠道向其邮件通报，由其后续提供解决方案。”

　　在铜掌柜官网的“安全保障”一栏中，其宣传表示：“不仅为用户提供金融信息服务，也保障用户的信息与资金安全。铜掌柜采用128位安全加密技术与安全认证体系，保障数据与资金安全，并严格遵守所有关于可辨识个人信息保存的法规要求，确保投资人提供的所有信息都能得到机密保护。”

　　尽管官网上宣称其平台有多重认证和加密，然而铜掌柜仍被爆出系统存在漏洞，导致用户信息遭到泄露。实际上，互联网金融平台系统存在漏洞，进而被黑客攻击的案例不在少数。由于黑客攻击造成系统瘫痪、恶意篡改、资金被洗劫一空等，甚至出现不少平台因为黑客攻击而面临倒闭。

　　资深业内人士梅州评对本报记者表示，一般投资理财平台，在用户注册时都会收集用户姓名、身份证号、手机号码、银行卡号、甚至银行卡密码等大量敏感信息，如果这些信息曝露给不法分子，后者可能会利用这些泄露数据通过一些科技手段复制他人的证件或设备，登录泄密平台，窃取用户账户内的留存资金，给用户和平台造成巨大的资金风险。

　　“实际上，从技术角度来说，是没有绝对安全的平台，平台应该根据运营的实际情况不断增加在系统安全方面的投入，以防止因为黑客攻击造成的用户信息泄露。除此之外，还有其他非技术因素造成的用户信息泄露情况。比如平台相关技术从业人员恶意泄露用户信息，也是一个很难把控的安全问题，对于这样的问题，平台只有不断完善相关信息加密保护的制度，才能防止因为从业人员的道德风险造成的平台用户数据泄露。”梅州评认为，作为信息技术平台，技术安全是最基本的要求，平台和投资者都不应该忽视。

　　信披不足

　　资料显示，铜掌柜平台运营主体为杭州铜米互联网金融服务有限公司，是浙江首批获得“互联网金融服务”资质的公司之一，目前已获上市公司中来股份(300393.SZ)战略入股。公司成立于2014年7月，注册资本3000万元，法人代表张焱，业务主体包括跨境电商、融资租赁、供应链金融、消费分期等。截至目前，累计投资金额37.5亿元，活跃用户数60.9万人，平均借款周期1个月，平均年化收益10.2%。

　　铜掌柜旗下有三款产品，铜钱宝是铜掌柜推出的一款活期理财产品；铜信宝是固收理财产品；铜政宝则是与当地政府全资子公司及证券公司发行管理的资产管理计划挂钩。

　　经查阅铜掌柜官网，记者发现平台对于资金托管机构并未明确披露。在其官网中的“掌柜吧”上，有投资者发帖询问“铜掌柜是什么银行资金托管”，一位客服回复称，“目前银行托管政策没有出来，所以没有托管银行，资产由四大行之一的银行监管(因为同银行有君子协议，故不对外公示)。”

　　记者致电铜掌柜客服，询问“目前是否有资金托管”时，对方表示，“我们这边是银行进行监管的，银行监管就是我们的资金进出都是通过第三方的，然后资金也是在银行进行监管，而且我们的账户资金安全由中国人保承包。”

　　梅州评认为，不管是银行托管还是第三方支付托管，作为平台方都应公开这方面的具体信息，不应以其他理由拒绝公开。另外，任何一家平台上的用户资金都是在银行系统里面流通的，不管托管还是监管或是存管都是如此。

　　“某些平台以此大肆宣传，只是对投资者玩了一个文字游戏。托管和存管(监管)差别是很大的，哪怕是第三方支付的托管也比一般意义的存管安全性要高一点，铜掌柜目前采用的认证支付和网关支付模式，实际上就是资金池管理模式，风险很高。”一位不愿具名的业内人士对记者表示。

　　该业内人士还表示，此外，保险和P2P平台的合作险种有以下几种：履约保证保险、风险准备金管理保险、账户安全险、交易资金损失险、借款人意外险及抵押物灭失险。其中以履约保证险最为重要，因为此险种才真正起到了保险公司为平台项目最终兜底的作用，其他险种都是相对很次要的险种，意义不大，但是一些平台在投保了除履约保证险之外的险种后，对外大肆宣传和保险有合作，以此给投资者一个保险兜底的假象，实际上已经涉及虚假宣传。

　　此外，记者查阅多个“铜政宝”借款标的后发现，项目信息中所披露的信息较少。以《借款合同》为例，除了借款金额有披露外，包括合同编号、公章在内的一切信息全部被打上马赛克。

　　由于无信披标准，大多数网贷平台信披不充分的问题一直饱受诟病。资深从业人士张朝阳对记者表示，很多平台的信息披露程度取决于平台老板的意愿，越是正规的平台所披露的信息也是越健全的。对于很多不正规的平台来说，甚至可能连借款方名称等基本信息都拒绝公开。

　　不过，信披无标准的混乱时光也许很快就要被终结。有消息称互联网金融行业未来将实行负面清单制，对于信息披露也有要求。整体看来，在信息披露方面，监管未提及分级管理，而是要求向出借人充分披露融资方基本信息，包括年收入、主要债务、信用报告；融资项目基本信息，包括项目的主要内容、还款来源、融资用途、金额、期限、利率、信用评级情况等，也要披露融资方已有的债务信息。互联网金融平台应对出借人和借款人的资格条件、信息真实性、融资项目真实性等进行必要审核。如果发现欺诈行为，应及时公告并终止网络借贷活动。互联网金融平台还应以醒目的方式提示网络借贷风险。此外，平台自身也需要进行披露信息。主要包括，交易金额、交易笔数、借款余额、最大借款单户余额占比、借款逾期金额、代偿金额、借贷逾期率、借贷坏账率、出借人数量、借款人数量等信息。同时，也要披露年报、经审计过的财务报表、与存管机构合作情况等。